Cómo RefluXFS sobrescribe los archivos de propiedad del usuario «root» a los que solo se puede acceder en modo de lectura

RefluXFS (CVE-2026-64600) es una condición de carrera en la ruta de «copia al escribir» (copy-on-write) de XFS del núcleo de Linux, y resulta mucho más útil para un atacante que la corrupción habitual del sistema de archivos. Un usuario local sin privilegios solicita a XFS una copia con enlace de referencia (reflinked) de un archivo que puede leer, realiza dos escrituras directas simultáneas sobre esa copia, y el núcleo confía en una asignación de bloques obsoleta el tiempo suficiente como para que una de esas escrituras se aplique al archivo original. La sobrescritura se produce en la capa de bloques, por lo que sobrevive a un reinicio, deja intactos el propietario, las marcas de tiempo y los bits setuid, y no genera ninguna entrada en el registro del núcleo. En esta retransmisión en directo, explicamos cómo una búsqueda asistida por IA sacó a la luz el fallo, por qué desactivar «reflink» no es una opción de emergencia, qué coste supone para una carga de trabajo la mitigación mediante SystemTap y por qué la corrección se adapta a un parche que no requiere reinicio.